Comment fonctionnent les simulations de phishing en formation ?

Qu'est-ce qu'une simulation de phishing et que fait-elle exactement ?

Une simulation de phishing est une attaque de phishing reconstituée que vous (ou votre fournisseur) envoyez à un groupe prédéfini de collaborateurs. Les messages ressemblent à de vrais e-mails de phishing, mais un clic ne mène pas à un attaquant. Il mène à une page d'atterrissage sûre sur votre plateforme, où le collaborateur reçoit une courte explication de ce qu'il aurait pu reconnaître.

Le but n'est pas de piéger les gens. Le but est de rendre visibles deux comportements : combien de collaborateurs cliquent sur un message suspect (le taux de clic) et combien le signalent à l'IT (le taux de signalement). Ces deux chiffres ensemble donnent une image bien plus riche qu'un test classique ou un score d'e-learning : ils montrent comment les collaborateurs se comportent sous pression.

Une simulation bien conçue est un élément récurrent de votre programme de sensibilisation, pas une action ponctuelle. Une mesure unique dit peu ; ce n'est qu'au bout de douze mois que vous voyez si le taux de clic baisse et le taux de signalement monte, et c'est seulement alors que vous savez que votre programme fonctionne.

La mise en place technique : du template au reporting

Une simulation de phishing est composée de quatre éléments qu'une bonne plateforme combine en quelques clics.

• Un template : l'apparence et le contenu du message. Cela peut être une fausse mail d'un service de livraison, une fausse facture, une invite de réauthentification Microsoft 365, ou un faux message du helpdesk IT. Une bonne plateforme propose des dizaines de templates par secteur, dans toutes les langues nécessaires à votre organisation.
• Une audience : qui reçoit le message. Cela peut être toute l'organisation, un service précis, un rôle (tous les collaborateurs financiers), ou un échantillon aléatoire. Une bonne plateforme synchronise les audiences automatiquement depuis votre SIRH ou Microsoft Entra ID.
• Une planification : quand le message est envoyé. Le moment influence le résultat de façon significative : un lundi matin chargé donne d'autres chiffres qu'un vendredi après-midi calme. Une bonne plateforme permet de planifier un cycle annuel à l'avance.
• Une page d'atterrissage et un reporting : ce qui se passe après un clic et ce que vous voyez en retour. À un clic, le collaborateur reçoit une courte explication, la plateforme enregistre qui a cliqué et qui a signalé, et vous obtenez un tableau de bord avec les taux de clic et de signalement par service.

Ce que mesure et ce que ne mesure pas une simulation

Une simulation de phishing mesure très bien trois choses, et n'en mesure pas trois autres. Garder cette distinction claire est important : sinon vous tirez de mauvaises conclusions.

Ce que mesure une simulation : le taux de clic (quelle part des collaborateurs clique sur un message suspect), le taux de signalement (quelle part signale via le bouton ou le helpdesk) et le temps jusqu'au premier signalement (à quelle vitesse quelqu'un donne l'alerte). Ces trois chiffres ensemble forment une image fiable de la culture de signalement.

Ce que ne mesure pas une simulation : l'intelligence individuelle, la connaissance théorique du phishing, ou la manière dont quelqu'un se comportera sous une vraie pression d'attaque. Un collaborateur qui clique sur une bonne simulation IA n'est pas « bête » ; c'est un utilisateur moyen face à une attaque réaliste. C'est exactement le genre d'attaque pour lequel votre programme doit former.

En pratique, c'est l'enseignement le plus important : une organisation avec un taux de clic faible et un taux de signalement faible n'est pas sûre. C'est une organisation où les gens ont simplement cessé de signaler. Une organisation avec un taux de clic moyen et un taux de signalement élevé est en revanche résiliente, car les vraies attaques y deviennent rapidement visibles.

Les trois règles qui séparent apprentissage et sanction

Une simulation de phishing entre de mauvaises mains peut détruire plus qu'elle ne construit. Trois règles décident si votre simulation devient un instrument d'apprentissage ou un instrument qui sape la culture de signalement.

• Mesurez le signalement, communiquez le signalement, valorisez le signalement. Quand quelqu'un signale une simulation, il reçoit un court message de remerciement. Quand une équipe obtient un bon score de signalement, mentionnez-le dans une newsletter. Rendez le signalement visible comme comportement positif, et le taux augmente mois après mois.
• Ne sanctionnez jamais un clic. Celui qui clique reçoit une courte explication : « C'était une simulation. Voici les trois signes que vous auriez pu repérer. » Point. Pas d'e-mail au manager, pas de re-formation obligatoire, pas de mention dans l'évaluation annuelle. Un clic est un moment d'apprentissage, pas une faute.
• Ne remontez jamais des chiffres individuels aux managers. Les chiffres agrégés par service aident à décider où renforcer le contenu. Chiffres individuels au manager : jamais. Le moment où cela se produit est le moment où les collaborateurs arrêtent de signaler, et vous perdez votre principale couche de défense contre les vraies attaques.
• Adaptez le rythme au contexte organisationnel. Une simulation pendant une réorganisation ou juste avant la prime ressemble à un acte agressif, pas à de la formation. Les personnes sont déjà tendues, et ce que vous abîmez n'est pas le taux de clic mais la confiance dans le programme. Une simulation mal synchronisée peut reculer un programme de sensibilisation pour des années.

Formes modernes de simulation et boucle de feedback

Une simulation de phishing qui en 2026 n'envoie encore que des e-mails classiques avec des phrases bancales entraîne les collaborateurs sur un schéma d'attaque qui n'existe plus vraiment. Les simulations réalistes intègrent les techniques modernes vues en pratique.

• E-mail de phishing classique, mais dans une langue impeccable et avec un branding parfait, généré comme le ferait un attaquant utilisant l'IA en quelques secondes. C'est le type de base le plus important en 2026.
• Smishing (phishing par SMS) vers le téléphone professionnel ou privé déclaré, avec un texte court et une URL raccourcie. Cela entraîne la reconnaissance sur l'appareil où les gens sont le moins critiques.
• Quishing (phishing par QR code) via une image dans un e-mail ou sur une affiche. Le QR code mène à une page d'atterrissage sûre de la plateforme. Cela exerce le schéma selon lequel les filtres e-mail ne lisent pas les QR codes.
• Scénario MFA fatigue : une brève rafale de notifications push reconstituées ou une invite de connexion à une heure inhabituelle. Cela entraîne la reconnaissance des schémas adversary-in-the-middle et du push bombing.
• La boucle de feedback : celui qui clique reçoit immédiatement un court module de microlearning de quelques minutes avec les trois signes qu'il aurait pu repérer. Pas d'administratif, pas d'escalade au manager, juste un moment d'apprentissage immédiat. Ce lien entre clic et apprentissage transforme la simulation de contrôle en formation.

Comment ancrer cela dans votre programme de sensibilisation

Une simulation de phishing n'est pas une action isolée, mais un élément d'un cycle de sensibilisation plus large. En pratique, un rythme de quatre à six simulations par an fonctionne le mieux dans la plupart des organisations, en alternance avec de courts modules d'e-learning et une communication périodique par intranet, affiches ou réunions d'équipe.

Commencez par une mesure de référence avant de démarrer le contenu. Cela donne un point de départ honnête : une organisation sans programme ciblé se situe en général à 25–35 % de taux de clic, avec 10–15 % de taux de signalement. Avec un programme mature, le taux de clic descend à 5–10 % en douze à dix-huit mois, et le taux de signalement monte à 60–75 %. La comparaison avec votre propre référence compte plus que la comparaison avec des benchmarks externes.

Reliez la simulation à la réalité de votre organisation. N'envoyez pas toujours le même template générique, mais utilisez des scénarios proches de ce que vos collaborateurs voient dans leur boîte mail : communication fournisseur pour la finance, messages clients pour le service, notifications IT pour toute l'organisation. Plus la simulation colle au réel, plus l'apprentissage est efficace.

Enfin, gardez le bouton de signalement visible dans le client mail, relié à un processus de triage simple. Un haut taux de signalement n'est utile que si quelque chose se passe avec les signalements : retour rapide à l'auteur du signalement, triage quotidien par l'équipe sécurité, et en cas d'attaque réelle un avertissement rapide au reste de l'organisation. C'est seulement à cette condition que la simulation devient autre chose qu'un chiffre isolé : un élément d'un processus de défense qui fonctionne.

Articles connexes

• Pourquoi les simulations de phishing fonctionnent
• Quand les simulations de phishing sont contre-productives
• Les KPIs de phishing qui comptent vraiment
• Sécurité des e-mails et ingénierie sociale

Sources

• CISA : éviter ingénierie sociale et phishing
• NCSC NL : phishing (aperçu)
• SANS Security Awareness: phishing benchmarks

FAQ

Qu'est-ce qu'une simulation de phishing exactement ?

Une simulation de phishing est une attaque de phishing reconstituée et contrôlée envoyée à vos propres collaborateurs pour observer qui clique et qui signale. Ce n'est pas une vraie attaque : un clic mène à une page d'atterrissage sûre de la plateforme avec une courte explication.

Faut-il annoncer les simulations aux collaborateurs ?

Oui, en général. Annoncez au début du programme de sensibilisation que les simulations de phishing en font partie et quel est leur but. Vous n'annoncez pas chaque simulation, ce qui rendrait la mesure impossible, mais le principe doit être connu et inscrit dans la politique.

Quel est un bon taux de clic dans une simulation de phishing ?

Sans programme ciblé, une organisation moyenne se situe entre 25 et 35 % de taux de clic. Avec un programme mature, il descend à 5–10 % en douze à dix-huit mois. Plus important que le chiffre absolu : le mouvement par rapport à votre propre mesure de référence.

Puis-je partager les résultats de clic individuels avec les managers ?

Non. Dès que les collaborateurs savent que leur clic individuel remonte au manager, les signalements baissent fortement. Vous perdez ainsi la détection précoce des vraies attaques. Les chiffres agrégés par service restent utiles pour renforcer le contenu.

À quelle fréquence lancer des simulations de phishing ?

Quatre à six simulations par an fonctionnent bien dans la plupart des organisations. Trop souvent provoque de la fatigue, trop peu offre trop peu d'entraînement. Plus important que le nombre : la variation de la forme (e-mail, smishing, quishing) et de la difficulté.

Quelle est la différence entre une simulation et une vraie attaque de phishing ?

Techniquement elles se ressemblent, mais dans une simulation le lien mène à une page d'atterrissage sûre de la plateforme, pas à un attaquant. Aucun mot de passe ni donnée n'est dérobé, et aucun logiciel malveillant n'est installé. Seul est enregistré qui a cliqué et qui a signalé.

Comment savoir si mes simulations de phishing sont efficaces ?

Regardez trois chiffres sur six à douze mois : le taux de clic doit baisser, le taux de signalement doit monter, et le temps jusqu'au premier signalement doit raccourcir. Une simulation isolée dit peu ; seule la tendance sur plusieurs simulations montre si le programme fonctionne.